PayPal のメール・アカウントを悪用する偽請求書：その見破り方と対処法は？

Hackers Leverage PayPal to Send Malicious Invoices

2023/02/16 InfoSecurity — オンライン決済プラットフォーム PayPal を悪用して、偽の請求書をユーザーに対してダイレクトに送信する、脅威アクターの存在が確認された。この最新のキャンペーンは、Check Point 傘下 Avanan のセキュリティ研究者により発見されたものだが、従来からのキャンペーンとは全く異なるものだとされる。今日のアドバイザリには、「これは、PayPal に成りすます攻撃とは異なるものだ。つまり、PayPal からダイレクトに送られてくる悪質な請求書である」と記されている。

この悪質なキャンペーンの一部を構成するフィッシング・メールは、対象となるユーザー・アカウントが詐欺に関連していると警告し、被害者が行動を起こさない場合には、$699.99 罰金が科されると脅してくる。

Avanan の Marketing Content Manager である Jeremy Fuchs は、「しかし、慎重なユーザーであるなら、メールの本文が本物でないことに気づく可能性がある。第一に、文法とスペルがバラバラであること。第二に、記載されている電話番号が PayPal と関係ないことだ」と述べている。

同時に Fuchs は、「一部のユーザーは、それでも電子メールに関する詳細な情報を得るために、記載されている電話番号に電話するかもしれない。その目的は、相手が示す番号に電話をかけて、詳細を確認することだ。しかし、その番号に電話すれば、あなたの携帯電話番号を教えることになり、さらなる攻撃に利用されるようになる。つまり、電話詐欺というチャンスを与えることになる」と述べている。

Avanan チームによると、脅威を与える側が PayPal を悪用することに、いくつかの利点があるという。まず、一度に大量の請求書を送ることが可能であり、プロフェッショナルな外観にすることが可能だという点が挙げられる。

同社は、「このメールは PayPal からダイレクトに送信される。この種の他のメール自体に悪意はなく、PayPal 経由で送られる正当な請求書は無数に存在する。そして、service@paypal.com から送られてくるメールは、SPF／DKIM／DMARC などのチェックを、すべて通過する」としている。

このような攻撃を防ぐために Avanan が推奨するのは、電子メールに記載された電話番号に電話をかける前に、セキュリティ・チームに調査を依頼することである。また、電子メールがクリーンであるかどうかを確認するための、高度な方法を導入するという方法もある。さらに、必要に応じて IT 部門に助けを求めることが可能になるよう、それぞれのユーザーに透明性を奨励する必要がある。

今回、Avanan が発見したキャンペーンは、PayPal で発生した１カ月以上前のインシデントで、数千人の米国人のログイン情報が漏洩した数週間後に起こっている。

冒頭の Avanan アドバイザリを参照する、「これは、PayPal に成りすます攻撃とは異なるものだ。つまり、PayPal からダイレクトに送られてくる悪質な請求書である」という部分ですが、元記事には、「This is different from the plenty of attacks we’ve seen that spoof PayPal. This is a malicious invoice that comes directly from PayPal」とだけ記されています。また、本文の末尾に記されている、１ヶ月以上前のインシデントとは、2023/01/20 の「PayPal ユーザー 35,000 人の個人情報に不正アクセス：クレデンシャル・スタッフィングの可能性大」だと思われます。ただし、今回のインシデントとの関連性については、触れられていません。